del Regolamento UE 2016/679 sulla protezione dei dati · CE SURITY PRIVACY Il nuovo regolamento...

PRIVACY SECURITY

Il nuovo regolamento europeosulla protezione dei datiGuida pratica alla nuova privacy e ai principali adempimenti del Regolamento UE 2016/679

Il regolamento europeo sulla protezione dei dati personali rappresen-ta una signifi cativa innovazione, se non proprio una rivoluzione, in materia di trattamento di dati personali. Sono state introdotte nuove fi gure professionali e presi in considerazione scenari progettuali che debbono rispettare sin dall’inizio l’impostazione di un’attività di trat-tamento (privacy by default, privacy by design, privacy impact asses-sment). È innovativa la modalità di trasferimento dei dati personali a Paesi terzi e vengono inoltre introdotte nuove procedure da adottare in caso di perdita di dati. È stato istituito un comitato europeo per la protezione dei dati, con l’incarico di applicare politiche di coerenza e congruità. La crescente diffusione dei social network e il crescente utilizzo del cloud, come sistema di archiviazione e trattamento di dati, impongono regole nuove per garantire, in questi contesti oltremodo fl uidi, una costante ed adeguata protezione dei dati personali. Que-sta guida fornisce al lettore gli strumenti operativi per orientarsi nella complessità dello scenario attuale al fi ne di ottenere un’appropriata protezione dei dati in fase di acquisizione, trattamento, trasferimento e cancellazione.

Adalberto Biasiotti: Cura da lungo tempo gli aspetti di prevenzione e protezione da atti criminosi ed accidentali, in difesa dei beni materiali ed immateriali, come ad esempio il crimine informatico. La continua assistenza che presta alle aziende, alla magistratura inquirente e giu-dicante, alle compagnie di assicurazioni, gli ha permesso di maturare una vasta e specifi ca esperienza. Ha scritto numerosi volumi ed articoli dedicati a tecnologie e procedure di sicurezza, per beni materiali ed immateriali, ed alla protezione della privacy. Svolge un’intensa attività di docenza in Italia ed all’estero.

Adalberto Biasiotti

Iln

uo

vo R

EGO

LAM

EN

TO E

UR

OPEO

sulla

PR

OTE

ZIO

NE D

EI D

ATI

Euro 43,00

9 788863 104882

ISBN 978-88-6310-488-2

CO

NTIE

NE C

D R

OM

Windows Vista, 7 e 8Explorer 9 o superioriMaggio 2016

Il CD Rom contiene provvedimenti legislativi

e regolamentari, documenti di supporto

e strumenti di lavoro

Il nuovo regolamento europeo sulla protezione dei dati

Il nuovo regolamento europeo sulla protezione dei datiGuida pratica alla nuova privacy e ai principali adempimenti del Regolamento UE 2016/679

Nel CD-Rom allegato provvedimenti legislativi e regolamentari, documenti di supporto e strumenti di lavoro

SEGUICI SU

www.epc.it

Biasiotti _regolamento.indd Tutte le pagine 20/05/2016 10:27:59

vai alla scheda del libro

l'autore

altri titoli

https://www.epc.it/Area-tematica/Security-e-privacy/Editoria?utm_source=risorsaPdf&utm_medium=pdf&utm_campaign=PdfSfoglia

https://www.epc.it/Autori/Libri-Software-Banche-dati/Biasiotti-Adalberto/9?utm_source=risorsaPdf&utm_medium=pdf&utm_campaign=PdfSfoglia

https://www.epc.it/Prodotto/Editoria/Libri/Il-nuovo-regolamento-europeo-sulla-protezione-dei-dati/2318?utm_source=risorsaPdf&utm_medium=pdf&utm_campaign=PdfSfoglia

Adalberto Biasiotti

IL NUOVO REGOLAMENTO EUROPEO SULLA

PROTEZIONE DEI DATIGuida pratica alla nuova privacy

e ai principali adempimenti del Regolamento UE 2016/679

Nel CD-Rom allegato provvedimenti legislativi e regolamentari, documenti di supporto

e strumenti di lavoro

La nuova privacy.indb 1 30/05/2016 09:49:22

Pagine tratte da www.epc.it - Tutti i diritti riservati

IL NUOVO REGOLAMENTO EUROPEO SULLA PROTEZIONE DEI DATI

ISBN: 978-88-6310-488-2

Copyright © 2016 EPC S.r.l. Socio Unico

EPC S.r.l. Socio Unico - Via dell’Acqua Traversa, 187/189 - 00135 Romawww.epc.itServizio clienti: 06 33245277 - Fax 06 3313212Redazione: Tel. 06 33245264/205

Proprietà letteraria e tutti i diritti riservati alla EPC S.r.l. Socio Unico. La struttura e il contenuto del presente volume non possono essere riprodotti, neppure parzial-mente, salvo espressa autorizzazione della Casa Editrice. Non ne è altresì consen-tita la memorizzazione su qualsiasi supporto (magnetico, magneto-ottico, ottico, fotocopie ecc.).La Casa Editrice, pur garantendo la massima cura nella preparazione del volume, declina ogni responsabilità per possibili errori od omissioni, nonché per eventuali danni risultanti dall’uso dell’informazione ivi contenuta.

Il codice QR che si trova sul retro della copertina, consente attraverso uno smartphone di accedere direttamente alle informazioni e agli eventuali aggior-namenti di questo volume.

Le stesse informazioni sono disponibili alla pagina:https://www.epc.it/Prodotto/Editoria/Libri/Il-nuovo-regolamento-europeo-sulla-protezione-dei-dati/2318



INDICE GENERALE

3

INDICE GENERALE

CAPITOLO 1 LA PROCEDURA LEGISLATIVA ORDINARIA E LA PROGRESSIVA EVOLUZIONE DEL REGOLAMENTO 27

1.1. All’inizio degli anni ‘90 ................................................................ 27

1.1.1 Nasce la legge 675/96 ...................................................................... 28

1.1.2 I primi decreti correttivi .................................................................. 29

1.1.3 In Europa si attiva Article 29 Working Party – preziosi consulenti ............................. 31

1.1.4 Arrivano le misure minime di sicurezza ......................................... 32

1.1.5 Nuove leggi, nuovi chiarimenti e nuovi differimenti ..................... 34

1.1.6 Il regolamento delle istituzioni europee sulla protezione di dati (EC) 45/2001 ............................................. 36

1.1.7 Nasce il Garante Europeo ............................................................... 37

1.1.7.1 Di cosa si occupa il GEPD ........................................................... 37

1.1.7.2 Quali benefici può garantire il GEPD ......................................... 38

1.1.8 Appare finalmente il testo unico: il decreto legislativo 196/2003 ........................................................ 38

1.1.8.1 Nuovi chiarimenti e miglioramenti ............................................ 39

1.2. Come si svolge il lavoro legislativo ........................................... 49

1.3. La Commissione europea ed il parlamento europeo .............. 50

1.4. I tre consigli europei: facciamo chiarezza ................................. 52

1.4.1 Il Consiglio dell’Unione europea .................................................... 52




4

1.4.2 Il Consiglio europeo ........................................................................ 53

1.4.3 Il Consiglio d’Europa ...................................................................... 54

1.5. Viene pubblicata la proposta di regolamento generale sulla protezione dei dati .................. 55

1.6. L’avvio del procedimento legislativo ........................................ 57

1.7. I pareri degli altri organismi coinvolti ...................................... 59

1.7.1 L’opinione del Comitato europeo economico e sociale – EESC ............................................................................. 59

1.7.2 L’opinione dell’articolo 24 Working Party – Art. 29 WP ................................................................................... 60

1.7.3 L’opinione del supervisore europeo alla protezione dei dati – EDPS .............................................................................. 61

1.7.4 L’opinione dell’Agenzia dei diritti fondamentali dell’Unione europea – FRA ............................................................. 62

1.7.5 L’opinione del consulente London Economics ............................... 64

1.7.5.1 L’impatto economico sulle imprese .............................................. 64

1.7.5.2 Nuove disposizioni e nuovi intralci burocratici ......................... 65

1.7.5.3 Le priorità per il Garante nazionale britannico – ICO ................ 65

1.8. La ricerca di Eurobarometer n. 359 del giugno 2011 ............... 66

1.9. Il rapporto del relatore della Commissione LIBE .................... 68

1.9.1 Alcune considerazioni di natura generale ..................................... 69

1.9.2 Alcune nuove definizioni ............................................................... 70

1.9.3 I diritti dell’interessato ed il consenso ........................................... 70

1.9.4 L’architettura di protezione dei dati ............................................... 71

1.9.5 Il data producer ............................................................................... 72

1.9.6 Il trasferimento all’estero di dati personali .................................... 73

1.9.7 Il regime sanzionatorio ................................................................... 73

1.10. L’attività del Consiglio dell’Unione europea ............................ 74



INDICE GENERALE

5

1.10.1 Il contributo del Consiglio dell’Unione europea ............................ 76

1.11. Ed ora, una panoramica sul nuovo regolamento ..................... 77

1.11.1 Il regolamento facilita il flusso dei dati .......................................... 77

1.11.2 Maggior controllo per una maggior sicurezza ............................... 78

1.11.3 Dati sicuri in Europa ed all’estero ................................................. 79

1.11.4 Come affrontare il problema della violazione dei dati ............................................... 79

1.11.5 Parliamo di cancellazione dei dati .................................................. 80

1.11.6 I poteri attribuiti alla Commissione europea ................................. 81

1.12. La sequenza legislativa, in sintesi .............................................. 81

1.13. Cenno alla direttiva ..................................................................... 83

CAPITOLO 2 I PRINCIPI GENERALI NELL’ACQUISIZIONE E NEL TRATTAMENTO DI DATI PERSONALI 85

2.1. Le finalità della raccolta ............................................................... 86

2.2. La compatibilità ............................................................................ 91

2.3. Come impostare un archivio di dati personali ......................... 95

2.3.1 La classificazione dei dati ................................................................ 98

2.4. Il trattamento per finalità storiche, statistiche e scientifiche ............................................................. 102

2.4.1 Comunicazioni di marketing e privacy ......................................... 104

2.4.2 Il provvedimento del Garante del 23 luglio 2013 ......................... 107

2.4.3 Le tecniche di anonimato............................................................... 110

2.5. L’informativa, il diritto di accesso e la raccolta del consenso ......................................................... 114

2.5.1 La ricerca del Canadian Privacy Commissioner ........................... 115

2.5.2 Linee guida per l’allestimento di un’informativa ......................... 116




6

2.5.3 La proposta di Jan Philip Albrecht della Commissione LIBE ............................................................... 118

2.5.4 Il diritto di accesso ........................................................................ 119

2.5.5 Il consenso ..................................................................................... 120

2.5.6 La durata di conservazione ed il diritto all’oblìo .......................... 121

2.5.7 Un caso italiano ............................................................................ 127

2.6. Riepilogando… .......................................................................... 133

2.7. Posta elettronica e compatibilità .............................................. 134

2.7.1 Il D.Lgs. 151 del 14 settembre 2015 ............................................. 135

2.8. Compatibilità di uso di dati pubblici ....................................... 138

2.9. Un’introduzione ai big data ....................................................... 140

2.9.1 Un ordine di grandezza dei valori in gioco ................................... 143

2.9.2 Una definizione e classificazione di big data ................................. 144

2.9.3 Come la tecnica dei big data può proteggere l’azienda ............................................................... 146

2.10. La profilazione (o profiling) ........................................................ 148

2.10.1 Facebook e la profilazione .............................................................. 155

2.11. Prima di PRISM .......................................................................... 158

2.11.1 PRISM .......................................................................................... 160

2.11.2 L’intervento della Commissione LIBE .......................................... 163

2.11.3 L’intervento dell’Art. 29 Working Party ...................................... 164

2.11.4 L’evoluzione dei lavori della Commissione LIBE .......................... 165

2.11.5 L’intervento del Garante tedesco e della Commissione dei Garanti europei ..................................... 166

2.11.6 Il pensiero del Garante italiano sul cosiddetto Datagate ................................................................ 170

2.11.7 Le conclusioni della Commissione LIBE sul progetto PRISM ...................................................................... 171



INDICE GENERALE

7

CAPITOLO 3 UN’INTRODUZIONE AI PERSONAGGI DEL REGOLAMENTO EUROPEO 175

3.1. Una presentazione tabulata dei personaggi coinvolti ............................................................ 176

3.2. Il profilo dei contitolari e dei rappresentanti di titolari ................................................. 186

3.2.1 I rappresentanti di titolari del trattamento ................................... 187

3.3. Infine, un soggetto ambiguo: l’amministratore di sistema ...................................................... 188

CAPITOLO 4 IL PROFILO ED I COMPITI DEL RESPONSABILE DEL TRATTAMENTO DI DATI PERSONALI, OSSIA IL DATA PROCESSOR 191

4.1. Un confronto tra il responsabile europeo ed il futuro responsabile nazionale ......................................... 191

4.2. I compiti del responsabile del trattamento ............................. 197

4.2.1 La designazione di rappresentanti di responsabili del trattamento, secondo l’articolo 27 ........................................... 201

4.3. Il profilo del rapporto tra responsabile e titolare .......................................................... 202

4.3.1 Il contenuto del contratto .............................................................. 204

CAPITOLO 5 IL PROFILO ED I COMPITI DELL’ADDETTO AL TRATTAMENTO DI DATI PERSONALI, EX ARTICOLO 29 213

5.1. Come nasce l’addetto ................................................................. 213

5.2. L’addetto al trattamento è persona fisica ................................ 215




8

5.3. L’addetto al trattamento è persona subordinata .................... 216

5.4. L’addetto al trattamento è persona designata ........................ 217

5.5. L’addetto al trattamento è persona controllata ...................... 218

5.6. Designazione e formazione ....................................................... 219

5.7. Quali istruzioni fornire .............................................................. 221

5.8. Riepilogo ...................................................................................... 222

5.8.1 La scelta dell’addetto al trattamento di dati personali ex art. 29 ............................................................ 223

5.8.2 Infine… ......................................................................................... 223

CAPITOLO 6 IL PROFILO ED I COMPITI DEL RESPONSABILE DELLA PROTEZIONE DEI DATI PERSONALI, OSSIA IL DATA PROTECTION OFFICER 225

6.1. L’Europa e la protezione dei dati personali ............................ 225

6.1.1 Il Network dei DPO europei ed un elenco dei principali DPO .................................................. 227

6.2. Veniamo in Italia ......................................................................... 230

6.2.1 L’evoluzione del profilo dell’amministratore di sistema ...................................................................................... 230

6.3. I problemi del DPO, rilevati dallo EDPS ................................. 233

6.3.1 I risultati della ricerca del Garante europeo – EDPS .................. 234

6.3.2 Part time o full time ...................................................................... 236

6.3.3 La sintesi dell’indagine ................................................................. 236

6.4. Dal DPO dell’istituzione europee al DPO italiano ........................................................................... 238

6.4.1 Quando si deve designare un responsabile della protezione dei dati ................................................................ 239



INDICE GENERALE

9

6.4.2 Perché occorre designare un responsabile della protezione dei dati ................................................................ 243

6.4.3 Perché occorre designare SUBITO un responsabile della protezione dei dati ................................................................ 243

6.4.4 Le garanzie di indipendenza del ruolo ......................................... 245

6.4.5 E se il DPO lavora part time? ...................................................... 249

6.4.6 Il conflitto di interessi .................................................................. 250

6.5. Il profilo del responsabile della protezione dei dati comincia a delinearsi .................................................. 251

6.5.1 Le conoscenze di un DPO ............................................................ 252

6.5.2 Le qualità personali ....................................................................... 254

6.5.3 IL DPO secondo il Garante italiano ............................................. 255

6.6. Il mansionario del responsabile della protezione dei dati (DPO) ............................................... 257

6.6.1 Formazione ed informazione ai soggetti coinvolti ....................... 257

6.6.2 Consulenza ed assistenza alla direzione........................................ 258

6.6.3 Organizzazione e valutazione ....................................................... 259

6.6.4 Le funzioni cooperative con l’autorità di controllo ....................... 260

6.6.5 Il monitoraggio del trattamento .................................................... 261

6.6.6 La gestione di reclami e segnalazioni ............................................ 261

6.6.7 Il data protection impact assessment – DPIA ............................... 262

6.6.8 L’intervento coattivo, se necessario! ............................................. 262

6.6.9 Prevenire è meglio che contrastare ............................................... 263

6.7. Le attività di audit ....................................................................... 265




10

CAPITOLO 7 GARANTI, VIGILATORI ED ESPERTI: EDPS, IL COMITATO EUROPEO PER LA PROTEZIONE DI DATI, L’AUTORITÀ NAZIONALE GARANTE, CERT, CSIRT, ENISA, L’ART. 29 WORKING PARTY 267

7.1. EDPS – European Data Protection Supervisor ............................ 269

7.2. Il Comitato europeo per la protezione dei dati ...................... 274

7.3. L’autorità nazionale di controllo .............................................. 277

7.4. CERT ............................................................................................. 284

7.5. CSIRT ............................................................................................ 287

7.6. ENISA ........................................................................................... 289

7.7. European Cybercrime Centre EC3 ........................................... 295

7.8. L’Art. 29 Working Party ............................................................ 296

CAPITOLO 8 UN’INTRODUZIONE ALL’ANALISI DEI RISCHI AFFERENTI AL TRATTAMENTO DI DATI PERSONALI 301

8.1. L’attività di ISO/TMB WG 262 – Risk Management ............... 301

8.1.1 GUIDE 73 Risk management – Vocabulary ................................. 302

8.1.2 UNI EN ISO 31000:2012 Gestione del rischio – principi e linee guida ................................ 303

8.1.3 ISO/TR 31004: 2013 Risk management – Guidance for the implementation of ISO 31000 ........................ 305

8.1.4 EN 31010: 2010 Risk management – Risk assessment techniques ........................................................ 306

8.1.5 EN 62198: 2014 Managing risk in projects – Application guidelines ............................................. 307

8.2. Compiamo insieme il primo passo .......................................... 308



INDICE GENERALE

11

8.3. Un elenco dei rischi .................................................................... 309

8.3.1 Rischio connesso al trattamento di dati suscettibili di cagionare un danno fisico, materiale o morale .......................... 309

8.3.2 Rischio connesso a discriminazione .............................................. 310

8.3.3 Rischio connesso a furto o usurpazione d’identità........................ 311

8.3.4 Rischio connesso a perdite finanziarie ......................................... 312

8.3.5 Rischio connesso a pregiudizio alla reputazione .......................... 312

8.3.6 Rischio connesso a perdita di riservatezza dei dati protetti da segreto professionale ...................................... 312

8.3.7 Rischio connesso a decifratura non autorizzata della pseudonimizzazione .............................................................. 313

8.3.8 Rischio connesso a qualsiasi altro danno economico o sociale significativo .................................................................... 313

8.3.9 Rischio connesso a perdita dei diritti, delle libertà e dell’esercizio del controllo dei dati da parte degli interessati ..... 314

8.3.10 Rischio connesso al trattamento di dati sensibili .......................... 314

8.3.11 Rischio connesso al trattamento dei dati giudiziari ...................... 315

8.3.12 Rischio connesso a profilazioni automatizzate .............................. 315

8.3.13 Rischio connesso ad interessati vulnerabili, in particolare minori ..................................................................... 316

8.3.14 Rischio connesso al trattamento di big data ................................. 317

8.3.15 Rischio connesso alla trasmissione di dati in rete e ai servizi di comunicazione ........................................................ 317

8.4. Dall’individuazione del rischio alla sua messa sotto controllo ................................................... 319

8.4.1 Le misure di prevenzione e mitigazione ........................................ 320

8.4.2 Certificazioni e codici di condotta ................................................. 320

8.4.3 La cifratura dei dati ....................................................................... 321

8.4.4 Protezione dei dati fin dalla progettazione, protezione per impostazione predefinita e valutazioni di impatto .................. 321




12

8.4.5 Le violazioni, ossia la perfezione non è di questo mondo .................................................................. 322

8.5. Una sintetica lista di controllo per chi ha poco tempo da perdere ........................................... 323

CAPITOLO 9 UN’INTRODUZIONE ALLE PRINCIPALI MISURE DI SICUREZZA E PROTEZIONE DEI DATI 325

9.1. Le architetture di protezione ..................................................... 327

9.2. Alcuni esempi di architetture sicure ........................................ 328

9.3. Protezione dei dati fin dalla progettazione ............................ 334

9.4. La nuova guida dell’autorità Garante italiana, in aiuto delle imprese ................................................................ 340

9.5. Protezione per impostazione predefinita ................................ 341

9.6. La valutazione di impatto sulla protezione dei dati ............ 343

9.7. Quando occorre un’autorizzazione e/o consultazione preventiva................................................... 345

9.8. I meccanismi di certificazione ed i sigilli ................................ 348

CAPITOLO 10 DALL’ANALISI DEI RISCHI ALLE MISURE CONVENZIONALI DI PROTEZIONE DEI DATI PERSONALI 351

10.1. Dato digitale e dato cartaceo ..................................................... 351

10.2. L’analisi di rischio ....................................................................... 353

10.3. La metodologia di sviluppo dell’analisi e della gestione del rischio ........................................................ 354

10.3.1 L’identificazione del rischio .......................................................... 354

10.4. La valutazione del rischio ........................................................ 355

10.5. La fase di mitigazione e messa sotto controllo ...................... 356



INDICE GENERALE

13

10.6. L’attribuzione del rischio .......................................................... 357

10.7. Il monitoraggio continuo .......................................................... 358

10.8. I gradi del sistema di sicurezza ................................................ 359

10.9. L’analisi di rischio è fenomeno dinamico .............................. 360

10.10. Il valore commerciale dell’analisi di rischio .......................... 360

10.11. I limiti dell’analisi di rischio ..................................................... 361

10.11.1 Le probabilità di successo dell’attacco ........................................... 361

10.11.2 Le probabilità di successo di un’intrusione variano a seconda del percorso seguito ....................................................... 362

10.12. Le difese efficaci .......................................................................... 363

10.13. L’equazione delle difese ............................................................ 364

10.13.1 Una panoramica sulle difese fisiche ............................................. 367

10.13.2 Le difese elettroniche ..................................................................... 371

10.13.3 I controlli di accesso ...................................................................... 374

10.13.4 I sistemi di videosorveglianza ....................................................... 376

10.13.5 Le procedure di messa in sicurezza, ispezione ed intervento .................................................................. 377

10.13.6 La formazione ed i controlli ........................................................... 378

10.13.7 Le normative applicabili ................................................................ 378

10.14. La tecnica della doppia chiave.................................................. 379

10.15. Il Garante ci offre un brillante esempio di protezione integrata .............................................................. 381

CAPITOLO 11 LA VIDEOSORVEGLIANZA E LA PROTEZIONE DEI DATI 385

11.1. Prima di installare un impianto di videosorveglianza ................................................................. 387




14

11.2. Come impostare la valutazione di impatto per un impianto di videosorveglianza .................................... 389

11.3. Il caso particolare di impianti che riprendono i lavoratori all’opera .................................................................. 394

11.4. L’informativa agli interessati ripresi ....................................... 399

CAPITOLO 12 LA PROTEZIONE DEI DATI PERSONALI DIGITALIZZATI 403

12.1. L’analisi di rischio e l’equazione delle difese ........................ 404

12.2. Chi può accedere ai dati?........................................................... 405

12.2.1 La risposta: usiamo un applicativo SSO ....................................... 407

12.2.2 Parliamo di cookies ........................................................................ 409

12.2.3 Le caselle temporanee di posta elettronica ..................................... 412

12.3. Guida alla scelta delle parole chiave ....................................... 414

12.3.1 Come vengono scoperte le parole chiave ....................................... 415

12.3.2 Alcuni consigli preziosi ................................................................ 416

12.4. Come realizzare un sito web sicuro .......................................... 418

12.4.1 Gli attacchi per social engineering ................................................ 419

12.5. Da DoS a DDoS ........................................................................... 430

12.6. Le protezioni criptografiche via internet ................................. 433

12.6.1 SSL ed i certificati digitali ............................................................. 434

12.6.2 Da SSL a EVSSL e TSL ................................................................ 439

12.7. Un dato anonimo è intrinsecamente protetto! ...................... 441

12.7.1 Come impostare un progetto per rendere i dati anonimi, pseudo anonimi o comunque mascherati ...................... 445

12.8. Proteggere, proteggere, proteggere! ........................................ 448

12.9. Uno strumento prezioso: SIEM ................................................ 450



INDICE GENERALE

15

12.9.1 Come usare SIEM per individuare una minaccia ......................... 452

12.9.2 I limiti dei SIEM ........................................................................... 453

12.10. Disaster recovery: un passo essenziale nella business continuity ............................................................. 455

12.10.1 Il rispetto dei principi di riservatezza, integrità, disponibilità e resilienza dei dati .................................................. 457

12.10.2 Cominciamo con il backup dei dati ............................................... 458

12.10.3 Passiamo agli applicativi .............................................................. 460

12.10.4 Passiamo alle macchine ed ai locali ............................................... 461

12.10.5 Passiamo alle linee di comunicazione ........................................... 462

12.10.6 Passiamo agli uomini .................................................................... 463

12.11. USA ed Europa uniti nella protezione delle infrastrutture informatiche.............................................. 464

12.11.1 I primi passi in USA ..................................................................... 464

12.11.2 L’ordine esecutivo del presidente Obama ..................................... 465

12.11.3 La protezione dal cyber crime in USA .......................................... 467

12.12. Cosa fa l’Europa .......................................................................... 469

12.12.1 La direttiva NIS ............................................................................ 471

12.12.2 Lo scenario europeo del crimine informatico................................. 475

12.12.3 I punti chiave del documento europeo ........................................... 476

CAPITOLO 13 UNA RASSEGNA DELLE NORMATIVE APPLICABILE ALLA SICUREZZA DELLE INFORMAZIONI 479

13.1. La serie di norme EN 27000 ...................................................... 480

13.2. Le linee guida di gestione del rischio ...................................... 505

13.3. L’attività dell’ente normativo BSI ........................................... 507

13.4. La serie ISO 22300:2012 - Sicurezza Sociale ............................ 512




16

13.5. Altre norme ................................................................................. 518

13.6. Le norme ETSI (European Telecommunications Standards Institute) ...................................................................... 521

13.7. Chi è ITIL ..................................................................................... 523

13.8. La NFPA 1600 .............................................................................. 524

13.9. L’attività di NIST - National Institute for standards and technology ........................................................ 524

13.10. La certificazione dell’Uptime Institute .................................... 526

13.11. L’attività dei revisori dei conti-SSAE 16 .................................. 528

CAPITOLO 14 PRIVACY ENHANCING TECHNOLOGIES - PET, PROTEZIONE DEI DATI FIN DALLA PROGETTAZIONE, PROTEZIONE PER IMPOSTAZIONE PREDEFINITA, VALUTAZIONE D’IMPATTO SULLA PROTEZIONE DEI DATI - DPIA 531

14.1. Una visione di assieme .............................................................. 532

14.1.1 La norma UNI EN ISO 9001:2015 .............................................. 532

14.1.2 La serie normativa EN 27000 ....................................................... 533

14.1.3 Le disposizioni in tema di protezione dei dati ............................... 533

14.2. Le tecnologie migliorative della protezione dei dati - PET ................................................. 534

14.2.1 Un esempio di PET ....................................................................... 535

14.2.2 I criteri di classificazione delle PET ............................................. 535

14.2.3 Il futuro delle PET ........................................................................ 538

14.3. Protezione dei dati fin dalla progettazione: l’analisi dei rischi e l’equazione delle difese .......................... 540

14.3.1 L’analisi dei rischi ......................................................................... 542

14.3.2 L’adozione di adeguate misure di sicurezza .................................. 542



INDICE GENERALE

17

14.3.3 Un esempio di protezione dei dati fin dalla progettazione .................................................................. 543

14.4. Protezione dei dati per impostazione predefinita ................ 545

14.4.1 Un esempio di protezione dei dati per impostazione predefinita .. 549

14.5. La valutazione di impatto sulla protezione dei dati - DPIA ............................................... 549

14.5.1 Quando si deve sviluppare la DPIA? .......................................... 550

14.5.2 I benefici di una DPIA .................................................................. 552

14.6. Come impostare una DPIA ....................................................... 554

14.7. DPIA: consultazione preventiva ed autorizzazione .............. 555

14.8. Una proposta di schema di DPIA ............................................. 557

CAPITOLO 15 I TRATTAMENTI A RISCHIO SPECIFICO ED I TRATTAMENTI PARTICOLARI, CON ANNESSE TECNOLOGIE - I BIG DATA 559

15.1. I trattamenti soggetti a valutazione di impatto ...................... 560

15.1.1 La profilazione ............................................................................... 561

15.1.2 Le linee guida dell’autorità Garante italiana sulla profilazione on line ............................................................... 563

15.1.3 Il trattamenti dati sensibili e sanitari (dati particolari) ................ 567

15.1.4 La videosorveglianza ..................................................................... 568

15.1.5 Il trattamento di dati giudiziari .................................................... 568

15.2. Big data eguale big problems ....................................................... 569

15.2.1 Cominciamo dalle definizioni ........................................................ 570

15.2.2 L’applicazione di tecniche di valutazione e protezione dei dati....................................................................... 572

15.2.3 Un prezioso documento di LIBE ................................................... 574




18

15.3. Quando consultare l’autorità Garante ..................................... 578

15.4. Autorizzazione preventiva e consultazione preventiva ....................................................... 580

15.5. Altri trattamenti particolari ....................................................... 581

15.6. Il mondo del condominio .......................................................... 587

15.7. Il mondo della scuola ................................................................. 590

15.8. Le nuove frontiere del trattamento: da smart grid a smart meters ....................................................... 594

15.8.1 I contatori elettrici intelligenti ...................................................... 597

CAPITOLO 16 LA SICUREZZA DEI DISPOSITIVI MOBILI 605

16.1. Una rapida carrellata sull’evoluzione di questi strumenti portatili ..................................................... 605

16.2. Un fenomeno sociale diventa un problema per la sicurezza ..................................... 609

16.3. Gli approcci possibili alla sicurezza ......................................... 613

16.4. Un approccio metodico alla protezione dei dispositivi mobili ................................................................. 618

16.5. Come proteggere i dati su dispositivi mobili ........................ 619

16.5.1 Un esempio di policy aziendale ..................................................... 624

16.5.2 Il parere dell’Art. 29 Working Party ........................................... 626

16.5.3 Il parere di ICO (Information Commissioner Office) su BYOD - Bring your own device .............................................. 628

16.6. Parliamo della parola chiave..................................................... 631

16.6.1 Come scegliere la parola chiave ..................................................... 634

16.7. Una soluzione radicale: la protezione criptografica .............. 635

16.8. Le tecniche avanzate di autenticazione .................................. 638



INDICE GENERALE

19

16.8.1 Un altro esempio di linee guida per la protezione dei personal computer e supporti di memoria portatili ................ 639

16.9. Dati sanitari e rischi affatto particolari .................................... 639

16.10. Una panoramica sulle reti Wi Fi ............................................... 642

16.10.1 Wi Max ......................................................................................... 649

16.10.2 Wi Fi in ambienti sanitari ............................................................. 650

16.11. Come gestire le chiavette di memoria USB............................. 652

CAPITOLO 17 CLOUD, PRIVACY E SECURITY: SONO CONCILIABILI? 655

17.1. Una breve storia .......................................................................... 655

17.1.1 La definizione di cloud computing, secondo la Commissione europea .................................................. 658

17.2. Cosa offre il cloud ........................................................................ 659

17.3. Acronimi e servizi ...................................................................... 661

17.3.1 La sicurezza delle infrastrutture è nel cloud ................................. 669

17.3.2 DRaaS – Disaster Recovery as a Service ...................................... 671

17.3.3 Baas – Backend as a Service .......................................................... 672

17.4. Il cloud pubblico e quello privato ............................................. 673

17.4.1 Il cloud personale .......................................................................... 675

17.4.2 Alcune domande che esigono risposta ........................................... 675

17.4.3 Migrare sì, ma con prudenza ........................................................ 686

17.5. Dove sono i cloud ....................................................................... 688

17.5.1 Che fare se i cloud si spostano? ..................................................... 690

17.5.2 Geolocalizzazione con SSL ............................................................ 691

17.6. Categorie di utenti del cloud...................................................... 692

17.7. Il cloud ibrido ............................................................................... 693




20

17.7.1 Quale sicurezza nel cloud ibrido? ................................................ 696

17.8. Cloud e security ............................................................................ 697

17.8.1 Una tecnica avanzata di prova ..................................................... 699

17.8.2 Erasure codig: che significa? ......................................................... 700

17.8.3 Il cloud come backup dei dati ........................................................ 701

17.8.4 Una tabella riepilogativa .............................................................. 703

17.8.5 Il registro dell’attività di trattamento ........................................... 704

17.8.6 La cancellazione sicura dei dati ..................................................... 705

17.9. Cloud e protezione dei dati ........................................................ 705

17.9.1 La protezione delle infrastrutture critiche informatiche ..................................................................... 707

17.9.2 Le indicazioni del Garante italiano ............................................... 709

17.10. Il punto di vista del supervisore europeo - EDPS .................. 709

17.10.1 Il caso dell’utente privato .............................................................. 710

17.10.2 Il gestore del cloud come responsabile del trattamento o data processor ................................................... 712

17.10.3 Il gestore del cloud come titolare del trattamento ......................... 713

17.10.4 Alcune situazioni fluide ................................................................ 714

17.10.5 I meccanismi di trasferimento di dati tra diversi paesi ............................................................................ 715

17.11. Le garanzie di sicurezza del trattamento ................................ 715

17.12. La Commissione europea viene in soccorso ........................... 717

17.13. 10 suggerimenti per migrare con serenità verso il cloud ......................................................... 720

17.14. I militari americani che ne pensano? ....................................... 722



INDICE GENERALE

21

CAPITOLO 18 DIRITTO ALL’OBLÌO E MODALITÀ CORRETTE DI CANCELLAZIONE DEI DATI PERSONALI 725

18.1. Si comincia a parlare di “diritto all’oblìo” .............................. 725

18.1.1 Arriva la sentenza dell’Alta Corte europea del 13 maggio 2014 ....................................................................... 727

18.1.2 La sentenza n. 23771/2015 del tribunale di Roma .................................................................... 729

18.2. Cosa dice il regolamento in tema di cancellazione dei dati.............................................. 729

18.3. Come materializzare il diritto all’oblio ................................... 731

18.4. Cancellare a regola d’arte .......................................................... 735

18.5. Rifiuti di apparecchiature elettriche ed elettroniche (Raae) e misure di sicurezza afferenti ai dati personali ..................................................................................... 738

18.6. Un’indagine americana sulla cancellazione dei supporti magnetici .............................................................. 741

18.7. Le procedure e normative esistenti, in tema di distruzione sicura di supporti cartacei .............................. 743

18.8. La distruzione presso insediamenti del titolare del trattamento .......................................................................... 746

18.9. Cosa accade in USA: la normativa NIST 800 – 80; Guidelines for media sanitization ................................................. 747

18.10. La norma BS 8470:2006 .............................................................. 755

18.11. Nasce EN15713 – secure destruction of confidential material – Code of Practice ........................................................... 756

18.11.1 Un’analisi approfondita della normativa europea ........................ 758

18.12. Un’interessante sentenza della Cassazione ............................ 763




22

18.13. Una sanzione di £ 200.000 per chi non ha rispettato le procedure appropriate ................................... 764

CAPITOLO 19 REGOLE E CONDIZIONI PER IL TRASFERIMENTO ALL’ESTERO DEI DATI 767

19.1. Un’introduzione al tema ........................................................... 768

19.1.1 Cosa significa trasferimento all’estero di dati .............................. 770

19.1.2 Nascono i primi problemi .............................................................. 770

19.2. La regola generale ...................................................................... 772

19.2.1 L’elenco dei paesi autorizzati ........................................................ 773

19.3. Da Safe Harbor a EU-USA Privacy shield ................................. 774

19.3.1 Come nasce Safe Harbor ............................................................... 774

19.3.2 Una panoramica su questi principi............................................... 775

19.3.3 Come Safe Harbor è stato sostituito dall’accordo EU-USA privacy shield ............................................ 778

19.3.4 Ed ecco una sintesi dello EU-USA privacy shield ........................ 782

19.4. Le BRC - binding corporate rules o norme vincolanti d’impresa .................................................. 784

19.4.1 Come attivarsi verso il Garante nazionale .................................... 786

19.4.2 Il collegamento fra l’autorità nazionale e le altre autorità europee .............................................................. 787

19.4.3 Come elaborare norme vincolanti d’impresa ................................. 790

19.5. Dalle BCR alle SCC ..................................................................... 792

19.5.1 I trasferimenti di dati da un titolare ad un responsabile ........................................................................ 793

19.6. Il cloud ed i meccanismi di trasferimento di dati tra diversi paesi ............................................................. 794

19.7. Un’ipotesi di soluzione .............................................................. 796



INDICE GENERALE

23

19.8. Le indicazioni della Commissione Europea ........................... 797

19.9. Le regole in altre parti del mondo – l’accordo in APEC ....................................................................................... 799

CAPITOLO 20 GLI ADEMPIMENTI CONNESSI AI CASI DI VIOLAZIONE O PERDITA DI DATI PERSONALI 801

20.1. Cosa accade di là dell’Atlantico .............................................. 802

20.2. Uno studio della Ponemon analizza tipologie e cause di questi eventi, nel mondo della sanità ................... 810

20.3. Perché si perdono i dati ............................................................. 812

20.4. Watermarking: prevenzione e responsabilizzazione ............... 815

20.5. Le linee guida del Garante ........................................................ 817

20.6. Quando si deve informare l’interessato .................................. 829

20.7. La traccia elaborata dal Garante italiano, ad aprile 2013 ...... 831

20.8. Una proposta di modulo di notifica, conforme all’art. 33 del regolamento europeo ....................... 834

20.9. Il formato di segnalazione adottato da ICO ........................... 841

20.10. È in arrivo un approccio unificato europeo ........................... 843

CAPITOLO 21 CODICI DI CONDOTTA, CERTIFICAZIONI, SIGILLI E MARCHI 847

21.1. I codici di condotta ..................................................................... 847

21.2. Parliamo di certificazioni........................................................... 850

21.3. Un’analogia con l’impostazione seguita dal ministero dell’interno in Italia ........................................... 855

21.4. Cosa significa sigillo .................................................................. 856




24

21.4.1 Il consorzio del vino tipico ............................................................ 856

21.4.2 Tre tipi di sigilli ............................................................................ 857

21.4.3 Sigilli di protezione dei dati e sigilli di sicurezza ........................ 859

21.4.4 Le condizioni di rilascio di un sigillo ........................................... 860

21.5. Un esempio di procedura per il rilascio di un sigillo di protezione di dati personali ........................... 866

21.6. I sigilli europei ............................................................................ 867

21.6.1 Un esempio di European privacy seal ........................................... 868

21.7. Approfondiamo il tema del sigillo europeo ........................... 869

21.7.1 Criptografia sigillata nel cloud ..................................................... 870

CAPITOLO 22 L’AUDIT DEL TRATTAMENTO DI DATI PERSONALI 875

22.1. Perché si avvia un audit e chi deve collaborare ..................... 876

22.2. Chi effettua l’audit ..................................................................... 878

22.3. L’impostazione dell’audit ........................................................... 879

22.4. Le aree da controllare ................................................................. 880

22.4.1 La definizione degli obiettivi dell’audit ........................................ 880

22.4.2 L’analisi di rischio ........................................................................ 881

22.4.3 La verifica delle politiche e delle procedure .................................. 882

22.4.4 L’attuazione delle politiche e delle procedure ............................... 882

22.4.5 La verifica dell’idoneità dei controlli in essere ............................. 883

22.4.6 Le smagliature e le falle del trattamento ....................................... 883

22.4.7 La fase propositiva ......................................................................... 884

22.4.8 Le modalità di compilazione e pubblicazione del rapporto ........... 884

22.5. Tutti hanno bisogno di un audit ................................................ 885

22.6. Esempio di rapporto di audit .................................................... 886



INDICE GENERALE

25

CAPITOLO 23 RICORSI, RESPONSABILITÀ E SANZIONI 889

23.1. Le principali sentenze in tema di protezione dei dati emesse dalla Corte europea dei diritti dell’uomo .................................................................................... 890

23.1.1 La raccolta di dati personali .......................................................... 891

23.1.2 Il trattamento e la conservazione di dati personali ....................... 894

23.1.3 La comunicazione o diffusione dei dati ......................................... 901

23.1.4 L’accesso ai dati ............................................................................. 903

23.2. Il ricorso di un insoddisfatto ..................................................... 905

23.2.1 Parliamo di risarcimenti ............................................................... 907

23.2.2 Arriviamo alle sanzioni ................................................................. 907

23.3. Sanzioni massime e sanzioni minime ...................................... 910

23.3.1 L’omogeneità delle sanzioni in Europa ......................................... 911

23.4. È scomparsa l’attività pericolosa .............................................. 911

CAPITOLO 24 DAL REGOLAMENTO GENERALE EUROPEO ALLA DIRETTIVA IN MATERIA DI TRATTAMENTO DI DATI PER FINALITÀ INVESTIGATIVE E GIUDIZIARIE 913

24.1. Dal regolamento alla direttiva .................................................. 913

24.2. La direttiva è diversa dal regolamento, ma i personaggi e gli adempimenti sono simili .................... 915

24.3. Una sintetica disamina della direttiva ..................................... 915

Contenuto del CD Rom ................................................................................ 923



325

Un’introduzione alle principali misure di sicurezza e protezione dei dati

Se un lettore mi chiedessi qual è il capitolo che mi ha maggiormente impegnato, nella stesura di questo volume, avrei pochi dubbi nell’indicare il presente capitolo.

La sequenza logica, sulla quale ho impostato la scrittura di questo volu-me, porta naturalmente ad inserire questo capitolo immediatamente dopo quello dedicato alle linee generali, secondo le quali deve essere impostata l’analisi del rischio.

Individuato un rischio, si passa a metterlo sotto controllo.

Una novità assoluta del regolamento generale sulla protezione dei dati, rispetto alle direttive precedenti ed anche alle leggi applicative nei vari paesi, sta proprio nel fatto che in questo testo vengono date delle indica-zioni precise su architetture di trattamento dei dati, che possono garantire il raggiungimento di obiettivi di protezione dei dati stessi, mediante inter-venti di natura intrinseca.

I lettori certo ricorderanno come nel decreto legislativo 196/2003 l’alle-gato B era nato proprio per dare indicazioni sulle misure minime di sicu-rezza da adottare, per garantire il raggiungimento di un livello minimo accettabile di sicurezza nel trattamento di dati personali.

Il regolamento, utilizzando dei diversi strumenti, segue questa stessa impostazione.

Come vedremo in seguito, questo tema è assai complesso, anche perché, mentre in alcuni paesi europei si sono già sviluppate delle iniziative di studio, a livello universitario e di associazioni di categoria, in Italia molto resta ancora da fare in questo specifico settore.

Non vi è dubbio che l’entrata in vigore del regolamento generale potrà spingere molti accademici e centri di ricerca a dedicare una maggiore atten-zione a questi principi progettuali, che troveranno un campo di applicazio-

9

LA NUOVA PRIVACY




326

ne sempre più vasto, mano a mano che la società civile diventerà sempre più articolata e le esigenze di protezione dei dati personali diventeranno sempre più pressanti. I maligni aggiungano anche che questa attenzione crescerà, quando verranno applicate le prime salatissime sanzioni, previ-ste da questo regolamento!

Gli articoli del regolamento, che specificamente menzionano i principi progettuali, cui deve ispirarsi il titolare del trattamento dei dati personali nell’impostare un’architettura di tutela dei dati stessi, sono brevemente illustrati di seguito.

Successivamente, a differenza di quanto normalmente si fa, ho deciso di offrire subito alcuni esempi di architetture progettuali rispettose delle esigenze di protezione dei dati, in modo che i capitoli successivi, dove gli strumenti vengono analizzati più in profondità, diventino auspicabilmen-te di più facile comprensione.

In sintesi, ed anche per venire incontro alle diverse esigenze di un tito-lare del trattamento e di un responsabile del trattamento, rispetto alle esi-genze di un responsabile della protezione dei dati, ho sviluppato questo capitolo, dove presento in forma concisa i principali adempimenti in tema di sicurezza, che ho successivamente sviluppato in altri capitoli, dove il tema della sicurezza e protezione dei dati viene affrontato in profondità.

Questi capitoli sono rispettivamente dedicati a:

• un’analisi approfondita dei criteri di progettazione sicura, compresa l’elaborazione di una valutazione di impatto sulla protezione dei dati di un particolare sistema di trattamento,

• un’analisi approfondita delle difese fisiche,

• un’analisi approfondita delle difese logiche,

• un’analisi approfondita dei codici di condotta, dei sistemi di certifica-zione e dei sigilli, che completa il panorama delle misure di sicurezza e protezione applicabili al trattamento di dati personali.

Altri capitoli sono dedicati a temi più specifici, come le normative inter-nazionali applicabili, la protezione dei dati nel cloud e la protezione di dati su dispositivi mobili.

Il lettore che ha bisogno solo di un inquadramento del problema può limitarsi a leggere questo capitolo, mentre coloro che debbono avere una conoscenza più approfondita di questi temi dovranno leggere tutti i capi-toli elencati. Buon lavoro!



PRINCIPALI MISURE DI SICUREZZA E PROTEZIONE DEI DATI

327

9.1. Le architetture di protezione

Il regolamento europeo statuisce un principio che abbisogna di chiari-menti specifici.

Articolo 25 - Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita

1. Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.

2. Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati per-sonali raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’inter-vento della persona fisica.

3. Un meccanismo di certificazione approvato ai sensi dell’articolo 42 può essere uti-lizzato come elemento per dimostrare la conformità ai requisiti di cui ai paragrafi 1 e 2 del presente articolo.

Si tratta di una statuizione assai importante, tanto è vero che l’8 ottobre 2012, nel documento di lavoro WD2, il relatore nella Commissione LIBE del Parlamento europeo, Jan Philip Albrecht, affermava:

“La tutela della vita privata sin dalla progettazione e di default è stata acclamata come l’innovazione principale della riforma. Essa garantisce, per esempio, che una app per smart phone acceda soltanto ai dati presenti sul telefono che sono effettivamente neces-sari per l’offerta di un servizio specifico, quale la navigazione o le informazioni meteo. Produttori e fornitori di servizi necessitano però di indicazioni ben più chiare e di maggiori incentivi per l’applicazione di questi principi”.

La traduzione del testo originale inglese, che suona data protection by de-sign e by default ha subito parecchie vicende. Per aiutare nella compren-sione corretta della traduzione del testo inglese, preferisco offrire una illustrazione del significato di questa parola, in lingua inglese, con una corrispondente illustrazione del significato in italiano.




328

In inglese, letteralmente, la parola default (come pure fault) può signifi-care mancanza, difetto, inadempimento o, in termine legale, mancata pre-sentazione in giudizio.

Anche un cliente, che ha chiesto un mutuo ad una banca e non è più in condizioni di pagare le rate, è in condizione di default.

Nella fattispecie, questa espressione significa che il responsabile della protezione dei dati, quando sviluppa un progetto di protezione dei dati stessi, deve introdurre delle regole che siano strutturalmente in grado di rispettare i dettati di legge, indipendentemente dal fatto che l’interessato debba attivarsi in qualche modo.

In altre parole, se l’interessato non dice e fa nulla, i suoi dati debbono esser protetti di default!

Ecco perché avrei preferito la traduzione “protezione strutturale” ovve-ro “protezione intrinseca”. Tuttavia, anche la protezione per impostazione predefinita può andare!

D’altro canto, è inutile nascondersi dietro un dito ed è ben noto che que-sto regolamento è nato con una forte influenza ed un significativo contri-buto da parte dei paesi anglosassoni, alcuni dei quali, come il Regno Unito, da tempo già avevano inserito questi requisiti nei loro codici di comporta-mento, in tema di protezione dati personali.

Ad esempio, se si devono raccogliere dati personali per una certa finali-tà, una protezione di default significa che vengono raccolti esclusivamente i dati personali necessari per la specifica finalità, e non un quantitativo superiore di dati, dai quali però si estraggono solo i dati relativi alla finalità specifica del trattamento.

Con questo accorgimento la raccolta dei dati è strutturalmente conforme ai dispositivi di legge e la conformità non viene ottenuta, ad esempio, limi-tando l’accesso ai soli dati rilevanti per il trattamento specifico.

9.2. Alcuni esempi di architetture sicure

Mi auguro che questa introduzione possa avere chiarito il significato del-le parole utilizzate e passo quindi ad illustrare alcuni esempi di architettu-re di trattamento, che rispondono a questi principi.

A questo fine, si rileva prezioso un documento sviluppato da ENISA, che puntualizza proprio questi aspetti di progettazione strutturalmente con-forme ai dettati del regolamento europeo.




329

Il pagamento a consumo dei pedaggi stradali

Vi sono molte situazioni, nelle quali l’acquisizione di un dato non deve necessariamente essere collegata ad una persona fisica individuata od individuabile.

Rammento ai lettori che già da anni l’Europa ha dato indicazioni per mettere a punto un sistema universale europeo di pagamento dei pedaggi autostradali, o di pagamento di pedaggi per il transito su determinate stra-de di determinati autoveicoli.

In fase di acquisizione dei dati per il calcolo del pedaggio, i dati essen-ziali fanno riferimento:

• al tipo di veicolo, perché ad esempio gli autocarri potrebbero pagare una tariffa superiore, rispetto alle autovetture, e

• al percorso seguito, ad esempio il tratto autostradale tra le due caselli.

Appare evidente che non ha alcun interesse, per il gestore della rete via-

Un supermercato un po’ invadente

Anni fa, Elizbeth Frances, allora Garante inglese per la protezione dati personali, ap-plicò una severa sanzione ad una grande catena di supermercati, nel Regno Unito, che avevano avviato una procedura di raccolta dei dati assai dubbiosa.

Ecco di che si trattava.

Veniva offerta ai clienti la possibilità di ricevere gratis, a domicilio, la spesa acquistata nel supermercato, a condizione che superasse le 20 sterline.

Per avvalersi di questa facilitazione, il cliente si doveva rivolgere ad uno sportello, dove una gentile hostess doveva raccogliere i dati personali, necessari per la consegna a domicilio.

Il lettore probabilmente si aspetterà che la hostess chiedesse l’indirizzo, magari il te-lefono, per sapere quando c’era a casa qualcuno, e forsanco il piano cui si trovava l’appartamento, se la spesa da consegnare era particolarmente ingombrante o pesante.

Non solo venivano richiesti tutti questi dati, ma venivano anche richiesti dati afferenti al tipo di automobile posseduto, al chilometraggio, alla compagnia di assicurazione utilizzata, al fatto che il cliente si trovasse in un appartamento in affitto oppure in proprietà e, se in proprietà, se l’appartamento era legato un mutuo.

Era evidente che questi ulteriori dati venivano acquisiti per effettuare trattamenti di marketing, che nulla avevano a che fare con la finalità dichiarata in fase di raccolta dei dati. In questo caso non c’è dubbio che la protezione dei dati by default era ben lungi dall’essere stata rispettata!




330

ria, conoscere il nome e cognome ed altri dati personali di un interessato alla guida o, ancora più in generale, di chi dovrà pagare il pedaggio, sia che il pedaggio sia pagato dall’autista stesso, oppure il pedaggio sia paga-to dalla società per la quale egli lavora.

Un’architettura informatica rispettosa della protezione dei dati potrebbe ad esempio prevedere che il pagamento venga effettuato acquistando una tessera prepagata, i cui dati vengono rilevati da un lettore, all’ingresso ed all’uscita del tratto stradale interessato.

Apparati supplementari possono valutare le dimensioni del mezzo, di modo da verificare quali sia l’importo effettivo da addebitare sulla tessera prepagata.

A questo punto, appare evidente che non ha alcun interesse, per il gesto-re del tratto stradale, conoscere il nome e cognome di chi ha comperato la tessera. La tessera potrebbe essere distribuita da distributori automatici, nei quali si introduce il denaro contante e si estrae una tessera, valida per un importo predeterminato e, giacché ci siamo, anche ricaricabile.

L’architettura informatica di trattamento dei dati, relativi al calcolo del percorso ed all’addebito del pedaggio, può prescindere completamen-te dall’acquisizione di dati personali del soggetto alla guida, oppure del proprietario dell’automezzo in transito, oppure del soggetto cui l’importo viene addebitato, oppure dalla targa dell’automezzo.

È questo un classico esempio di architettura rispettosa della protezione dei dati, che sarebbe pienamente congruente con i dettati dal regolamento generale.

IBAN in soccorso

Tuttavia, un attento lettore potrebbe osservare che la soluzione proposta, da un punto di vista gestionale, non è appropriata. Se infatti l’importo disponibile sulla tessera prepagata non fosse sufficiente, in relazione al pedaggio da pagare all’uscita del casello, si creerebbero dei problemi nel flusso del traffico. Questa è la ragione per la quale schemi di questo tipo prevedono sempre l’appoggio della carta ad un conto corrente bancario, sul quale vengono addebitati mensilmente i pedaggi relativi.

Anche in questo caso, tuttavia, è possibile impostare un’architettura rispettosa della protezione dei dati, prevedendo ad esempio che la società che gestisce il percorso stradale debba essere a conoscenza esclusivamente del codice IBAN, sul quale addebitare gli importi dei pedaggi. La società in questione non ha alcun bisogno di conoscere il nome e cognome del soggetto cui l’IBAN fa riferimento. È sufficiente che la banca rilasci una




331

dichiarazione, nella quale si attesta che il codice IBAN corrisponde ad un rapporto bancario effettivamente operativo e per il quale il titolare del rap-porto bancario ha dato l’autorizzazione all’addebito degli importi.

In possesso di questa dichiarazione, il gestore del pedaggio autostradale avrà tutti gli elementi necessari per incassare il dovuto, senza avere nean-che un dato personale in più, rispetto al minimo necessario. Ecco un esem-pio di progettazione di protezione predefinita.

Rammento infatti che la conoscenza di un codice IBAN non comporta affatto la conoscenza dell’intestatario del rapporto, cui l’IBAN si riferisce. Una situazione simile si trova nell’accesso ai registri delle camere di com-mercio, laddove è possibile chiedere se un determinato numero di partita IVA corrisponda ad un soggetto realmente esistente, ma non alla conoscen-za del nome del soggetto.

Si tratta di una protezione asimmetrica, che permette di acquisire i dati personali necessari per procedere, ma nessuno in più del minimo neces-sario.

Un altro esempio: il traffico telefonico da apparati cellulari

Per utilizzare un telefono cellulare occorre acquistare una SIM - subscri-ber identification module. Questo circuito integrato, dotato di memoria, può essere caricato con importi prepagati, che permettono di svolgere conver-sazioni nei limiti di importi stabiliti.

Questa tessera o SIM può essere ricaricata, acquistando delle ricariche presso supermercati, tabaccherie e simili.

Un primo aspetto positivo, in termini di protezione dei dati, riguarda il fatto che la ricarica può essere effettuata da chiunque, alla sola condizione di conoscere il numero di telefono, corrispondente alla SIM sulla quale si vuole accreditare l’importo.

Non vi è alcun bisogno di raccogliere i dati personali di chi provvede all’acquisto della tessera di ricarica. Questo dettato è rispettato, perché chiunque può acquistare una tessera di ricarica e chiedere al negoziante che l’ha venduta di provvedere direttamente all’accredito, se offre questo servizio.

Posso dire, per esperienza personale, che molte persone di una certa età, che desiderano fare un regalo i propri nipoti, dotati di telefono cellulare, si comportano esattamente in questo modo ed il nipote talvolta non sa chi deve ringraziare.

O meglio, il nipote lo sa, solo se il nonno lo informa, ed in questo caso




332

non si ha alcuna violazione di dati personali, perché il dato personale è volontariamente presentato dall’interessato coinvolto.

Credo che sia difficile, per un lettore, trovare un altro esempio di archi-tettura di trattamento dei dati personali, che sia così rispettosa delle esi-genze di protezione dei dati.

Ho dovuto necessariamente limitare questa esemplificazione al caso del-la ricarica, perché non è possibile applicarla anche al caso dell’acquisto iniziale della tessera: o meglio, sarebbe certamente possibile, salvo per la presenza di disposizioni di legge, che impediscono di vendere una tesse-ra SIM ad una persona non identificata; anzi, tali disposizioni addirittura impongono di fare fotocopia del documento di identità dell’acquirente. La ragione di questa disposizione è evidentemente da ricondurre a una prio-rità di esigenze di protezione sociale, rispetto alle esigenze di protezione dei dati personali.

Vorrei quindi precisare che questa acquisizione di dati è imposta dalla legge e non dal fatto che l’architettura informatica di vendita di tessere SIM non possa essere del tutto spersonalizzata. Nulla infatti impedirebbe che la tessera SIM possa essere acquistata presso un distributore automa-tico, pagando in contanti e escludendo quindi ogni possibile correlazione fra il possessore della tessera ed un interessato. Mi risulta che in alcuni paesi del mondo questa possibilità esiste.

È tuttavia interessante esaminare questo esempio, perché mette in evi-denza come sia talvolta possibile costruire architetture perfettamente rispondenti a criteri di protezione predefinita nel trattamento di dati, ma ciò non è possibile per disposizioni legislative, che nulla hanno a che fare con l’impostazione teorica dell’architettura di trattamento.

Un terzo esempio: la cartella clinica di un paziente

Mi permetto di offrire una terzo esempio, per sottolineare come sia pos-sibile costruire architetture che rispettano appieno i dettati del regolamento generale sulla protezione dei dati, a condizione che il titolare del trattamento, il responsabile e il responsabile della protezione dei dati le conoscano e le attuino.

Oggi come oggi, vi è la tendenza a concentrare tutti i dati afferenti ad un paziente in unica cartella clinica, sia essa cartacea, sia essa elettronica.

In questa cartella sono riportati i dati anagrafici, i dati assicurativi, i dati afferenti alla prognosi, alla diagnosi, al protocollo terapeutico e via dicendo.

In molti casi questa cartella è accessibile anche al paziente, vale a dire all’interessato, grazie alla costruzione del “fascicolo sanitario elettronico”




333

Proviamo ad effettuare una grossolana suddivisione di questi dati in almeno due categorie:

• la categoria dei dati di natura amministrativa e contabile,

• la categoria dei dati sanitari in senso stretto.

Se tutti questi dati sono conservati in un unico archivio, consultabile da un qualsiasi addetto al trattamento dei dati, sia esso infermiere, sia esso un impiegato amministrativo, occorre introdurre delle limitazioni ai profili di accesso, per fare sì che ognuno di questi due soggetti possa vedere solo i dati di proprio interesse.

Un’architettura rispettosa della protezione dei dati potrebbe invece pre-vedere una diversa articolazione della cartella clinica, ad esempio creando una cartella clinica centrale, nella quale però sono riportati solo dei punta-tori e non i dati stessi.

In altre parole, viene creata una cartella con dati contabili amministrati-vi, che è custodita presso l’ufficio amministrazione dell’ente ospedaliero, ed una cartella sanitaria vera e propria, dove sono custoditi i dati afferenti a prognosi, diagnosi, protocollo terapeutico e simili; quest’ultima è custo-dita presso la direzione sanitaria.

A questo punto le garanzie di protezione dell’accesso e la protezione contro possibili errori nell’introdurre i profili di accesso sono estremamen-te elevate.

L’infermiere infatti può accedere soltanto a quella porzione dei dati per-sonali del paziente, che sono di suo interesse, e non può accedere ai dati custoditi in tutt’altro archivio, presso l’amministrazione.

Lo stesso vale per l’impiegato amministrativo, che deve recuperare dati per elaborare una fatturazione o deve comunicarli ad una compagnia di assicurazione, che tutela i pazienti.

Un errore nella costruzione del profilo di accesso non ha alcun riflesso sulla potenziale conoscibilità di dati non rilevanti per chi tratta i dati stessi.

D’altro canto, la disponibilità centrale dei dati è garantita, perché presso l’archivio centrale è costruita una cartella, in cui non sono presenti i dati per-sonali del paziente, ma sono presenti dei puntatori, che indirizzano ai data-base distribuiti, presso l’amministrazione e presso la direzione sanitaria.

In questo caso, l’architettura rispettosa della protezione dei dati è otte-nuta mediante decentramento e compartimentazione dei dati, con accre-sciuta difficoltà di accesso a dati non rilevanti, per errore informatico o per altra ragione.



923

Contenuto del CD Rom

Il CD Rom allegato al presente volume si avvia automaticamente per i sistemi predisposti con autorun. Nel caso non si avviasse, occorre accedere all’unità CD/DVD (esempio: D:\) ed eseguire il file index.html. Per la cor-retta visualizzazione su Explorer o su gli altri browser occorre “consentire i contenuti bloccati”.

Il CD-Rom contiene provvedimenti legislativi e regolamentari, docu-menti di supporto e strumenti di lavoro:

Provvedimenti legislativi e regolamentari

• REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (versione pdf e doc)

• DIRETTIVA (UE) 2016/680 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte del-le autorità competenti a fini di prevenzione, indagine, accertamen-to e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (versione pdf e doc)

• DIRETTIVA (UE) 2016/681 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 sull’uso dei dati del codice di preno-tazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (versione pdf e doc)




924

• Testo finale direttiva NIS - Proposal for a Directive of the European Par-liament and of the Council concerning measures to ensure a high common level of network and information security across the Union (versione pdf)

• EU-US Privacy Shield Principles – 23 febbraio 2016 (versione pdf)

• Garante per la protezione dei dati personali - Provvedimento in materia di misure di sicurezza nelle attività di intercettazione da parte delle Procure della Repubblica - 18 luglio 2013 (versione pdf)

• Sentenza n. 23771/2015 del tribunale di Roma sul diritto all’oblio (versione pdf)

Documenti di supporto

• La Privacy dalla parte dell’impresa - a cura del Garante per la protezione dei dati personali

• Cloud computing: proteggere i dati per non cadere dalle nuvole - a cura del Garante per la protezione dei dati personali

• Department of Defense (DoD) - Cloud Computing Security Require-ments Guide (SRG) - Version 1, Release 1 -12 January 2015

• Agenzia per l’Italia digitale - Linee guida per il disaster recovery delle pubbliche amministrazioni ai sensi del c. 3, lettera b) dell’art. 50bis del Codice dell’Amministrazione Digitale - Aggiornamento 2013

Strumenti di lavoro (in formato .doc direttamente utilizzabili)

• Traccia di documento sintetico, utile per rivedere l’impostazione dei trattamento aziendali, alla luce del nuovo regolamento

• Traccia di guida allo sviluppo di un documento di protezione dei dati fin dalla progettazione e protezione dei dati per impostazione prede-finita

• Traccia di documento di valutazione di impatto sul trattamento di dati personali

• Traccia alternativa di documento di valutazione di impatto sulla pro-tezione dei dati

• Traccia di documento di valutazione di impatto sulla protezione dei dati per operazioni di marketing

• Traccia di Segnalazione di violazione di dati personali – versione det-tagliata



CONTENUTO DEL CD ROM

925

• Traccia di Segnalazione di violazione di dati personali – versione bre-ve

• Traccia di Rapporto di audit sulle attività di trattamento e protezione dei dati

• Traccia del contenuto di regole vincolanti d’impresa

• Traccia della domanda di approvazione delle regole vincolanti d’im-presa, indirizzata all’autorità nazionale di supervisione

• Traccia di istruzioni per la gestione sicura di PC e supporti di memo-ria portatili

Requisiti di sistema:Windows Vista, 7, 8, 10Internet Explorer 9 e successiviAdobe Acrobat ReaderMicrosoft Office Word 97-2003 e successivi



del Regolamento UE 2016/679 sulla protezione dei dati · CE SURITY PRIVACY Il nuovo regolamento...

Documents

Transcript of del Regolamento UE 2016/679 sulla protezione dei dati · CE SURITY PRIVACY Il nuovo regolamento...